CVE-2026-84370 in SVGO
Riassunto
di VulDB • 02/09/2026
SVGO, acronimo di SVG Optimizer, è una libreria Node.js e un'applicazione da riga di comando per l'ottimizzazione dei file SVG. Dalla versione 1.0.0 fino alle versioni 2.8.4, 3.3.5 e 4.1.0, il plugin removeScripts (attivato su richiesta), denominato removeScriptElement nelle versioni 2 e 3, filtra in modo incompleto i collegamenti eseguibili nei file plugins/removeScripts.js e lib/svgo/tools.js. Il plugin non riconosce gli elementi SVG di ancoraggio con prefisso namespace, come svg:a con attributi href o valori namespaced *:href, e non rimuove i caratteri ASCII tabulazione, a capo (line-feed) o ritorno carrello prima di verificare gli schemi URL. I browser eliminano tali caratteri prima dell'analisi dello schema, consentendo a un collegamento eseguibile di superare il controllo del plugin. Quando un'applicazione elabora input SVG controllato dall'attaccante e ne restituisce l'esito in un contesto browser attivo, una vittima che attiva il link sopravvissuto può eseguire script nell'origine dell'SVG, esporre dati, modificare contenuti o compiere azioni per conto della vittima. Questo problema è risolto nelle versioni 2.8.4, 3.3.5 e 4.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.